关于企业管理用户

了解您的企业如何从您的身份提供商（IdP）管理GitHub上用户的生命周期和身份验证。

在本文中

使用企业管理用户，您可以从外部身份管理系统（IdP）管理GitHub上用户的生命周期和身份验证：

  • 您的IdP设置新用户帐户在GitHub上，可以访问您的企业。
  • 用户必须在您的IdP上进行身份验证访问GitHub上企业的资源。
  • 你可以控制用户名、配置文件数据、组织成员资格和存储库访问来自您的IdP。
  • 如果您的企业使用OIDC SSO，GitHub将使用您的IdP验证对企业及其资源的访问条件访问策略（CAP）。请参阅“关于支持IdP的条件访问策略."
  • 托管用户帐户无法创建公共内容或在企业外部进行协作。请参阅“托管用户帐户的能力和限制."

注意

企业管理用户并不是每个客户的最佳解决方案。要确定它是否适合您的企业，请参阅“为GitHub企业云选择企业类型."

身份管理系统

GitHub与一些身份管理系统开发人员合作，提供与企业管理用户的“铺平道路”集成。为了简化配置并确保全面支持，使用单个合作伙伴IdP进行身份验证和配置。

合作伙伴身份提供商

合作伙伴IdP使用SAML或OIDC提供身份验证，并使用跨域身份管理系统（SCIM）提供资源调配。

合作伙伴IdPSAML公司OIDC公司SCIM公司
条目ID
奥克塔
PingFederate公司

当您将单个合作伙伴IdP用于身份验证和供应时，GitHub为合作伙伴IdP上的应用程序以及IdP与GitHup的集成提供支持。

其他身份管理系统

如果无法将单个合作伙伴IdP用于身份验证和供应，则可以使用其他身份管理系统或系统组合。系统必须：

  • 坚持GitHub的集成指南
  • 提供使用SAML的身份验证，遵循SAML 2.0规范
  • 提供使用SCIM进行用户生命周期管理，遵循SCIM 2.0规范并与GitHub的REST API通信（请参阅“使用REST API为用户和组提供SCIM")

注意

为用户提供GitHub的公共SCIM模式是公开测试版，可能会有更改。

GitHub不明确支持混合和匹配合作伙伴IdP进行身份验证和供应，也不测试所有身份管理系统。GitHub的支持团队可能无法帮助您解决与混合或未测试系统相关的问题。如果您需要帮助，必须咨询系统文档、支持团队或其他资源。

用户名和配置文件信息

GitHub通过规范化IdP提供的标识符，自动为每个开发人员创建用户名。如果在规范化过程中删除了标识符的唯一部分，则可能会发生冲突。请参阅“外部身份验证的用户名注意事项."

托管用户帐户的配置文件名称和电子邮件地址由IdP提供：

  • 托管用户帐户不能在GitHub上更改他们的个人资料名称或电子邮件地址。
  • IdP只能提供一个电子邮件地址。
  • 在您的IdP中更改用户的电子邮件地址将使该用户从与旧电子邮件地址相关联的贡献历史中脱离。

管理角色和访问

在您的IdP中，您可以为每个托管用户帐户提供一个在企业中的角色，例如成员、所有者或来宾合作者。请参阅“企业中的角色."

可以手动管理组织成员身份（和存储库访问），也可以使用IdP组自动更新成员身份。请参阅“使用身份提供程序组管理团队成员身份."

托管用户帐户的身份验证

托管用户帐户可以向GitHub进行身份验证的位置取决于您如何配置身份验证（SAML或OIDC）。请参阅“使用企业管理用户进行身份验证."

默认情况下，当未经身份验证的用户尝试访问您的企业时，GitHub显示404错误。您可以选择启用自动重定向到单点登录（SSO）。请参阅“在企业中强制实施安全设置策略."

进一步阅读